기준 KMS 키 및 IAM 정책 설명 - AWS IAM Identity Center
IAM Identity Center 사용에 대한 기준 KMS 키 정책 설명(필수)AWS 관리형 애플리케이션 사용을 위한 기준 KMS 키 및 IAM 정책 설명사용을 위한 기준 KMS 키 문 AWS Control TowerIAM Identity Center를 Amazon Elastic Compute Cloud Windows 인스턴스에 사용하기 위한 기준 KMS 키 및 IAM 정책 설명IAM Identity Center에서 사용자 지정 워크플로를 사용하기 위한 기준 KMS 키 및 IAM 정책 설명

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

기준 KMS 키 및 IAM 정책 설명

참고

에 대한 고객 관리형 KMS 키 AWS IAM Identity Center 는 현재 일부 AWS 리전에서 사용할 수 있습니다.

여기에 제공된 기본 KMS 키 및 자격 증명 기반 정책은 공통 요구 사항의 기반 역할을 합니다. 또한 특정 IAM Identity Center 인스턴스 또는 AWS 관리형 애플리케이션에서만 KMS 키에 액세스할 수 있는지 확인하는 등 보다 세분화된 액세스 제어를 고급 KMS 키 정책 설명 제공하는를 검토하는 것이 좋습니다. 고급 KMS 키 정책 설명을 사용하기 전에를 검토합니다기준 및 고급 KMS 키 정책 설명 선택 시 고려 사항.

다음 섹션에서는 각 사용 사례에 대한 기준 정책 설명을 제공합니다. 사용 사례와 일치하는 KMS 키 정책 설명을 복사한 다음 로 돌아갑니다2단계: KMS 키 정책 설명 준비.

IAM Identity Center 사용에 대한 기준 KMS 키 정책 설명(필수)

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 IAM Identity Center, 연결된 Identity Store 및 IAM Identity Center 관리자가 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

  • 보안 주체 요소에서 IAM Identity Center 관리자의 IAM 보안 주체를 지정합니다. IAM 보안 주체에 대한 자세한 내용은 IAM 사용 설명서의 보안 주체 지정을 참조하세요.

  • Identity Store에는 KMS 키를 사용하도록 허용해야 identitystore.amazonaws.com하는 자체 서비스 보안 주체가 있습니다.

  • 이러한 정책 설명을 통해 모든 IAM Identity Center 인스턴스가 KMS 키를 사용할 수 있습니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 섹션을 참조하세요고급 KMS 키 정책 설명.

KMS 키 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [{
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Admin_IAM_principal}"
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*",
          "kms:ViaService": "sso.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Admin_IAM_principal}"
      },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*",
          "kms:ViaService": "identitystore.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAdminToDescribeTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Admin_IAM_principal}"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowIAMIdentityCenterToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "sso.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityStoreToUseTheKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": "identitystore.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:ReEncryptTo",
        "kms:ReEncryptFrom",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterAndIdentityStoreToDescribeKMSKey",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "identitystore.amazonaws.com",
          "sso.amazonaws.com"
        ]
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

에서 다음 IAM 정책 설명 템플릿을 사용하여 IAM Identity Center 관리자가 KMS 키를 사용하도록 4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성 허용합니다.

  • 리소스 요소의 예제 키 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 섹션을 참조하세요필요한 식별자 찾기.

IAM Identity Center의 위임된 관리자에게 필요한 IAM 정책 설명

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [{
      "Sid": "IAMPolicyToAllowIAMIdentityCenterAdminToUseKMSkey",
      "Effect": "Allow",
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Sid": "IAMPolicyToAllowIAMIdentityCenterAdminToListKeyAliases",
      "Effect": "Allow",
      "Action": "kms:ListAliases",
      "Resource": "*"
    }
  ]
}

AWS 관리형 애플리케이션 사용을 위한 기준 KMS 키 및 IAM 정책 설명

참고

일부 AWS 관리형 애플리케이션은 고객 관리형 KMS 키로 구성된 IAM Identity Center와 함께 사용할 수 없습니다. 자세한 내용은 AWS IAM Identity Center에서 작동하는 관리형 애플리케이션을 참조하세요.

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 AWS 관리형 애플리케이션과 관리자가 모두 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

  • PrincipalOrgID 조건에 AWS Organizations ID를 삽입합니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 섹션을 참조하세요필요한 식별자 찾기.

  • 이러한 정책 문은 동일한의 모든 AWS 관리형 애플리케이션이 KMS 키를 AWS Organizations 사용하도록 허용합니다. 이러한 정책 설명을 특정 AWS 관리형 애플리케이션, 계정 또는 IAM Identity Center 인스턴스로 제한하려면 섹션을 참조하세요고급 KMS 키 정책 설명.

KMS 키 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [{
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "${organization_ID}"
        },
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowAppAdminsInTheSameOrganizationToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "${organization_ID}"
        },
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "sso.*.amazonaws.com",
          "kms:EncryptionContext:aws:sso:instance-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        }
      }
    },
    {
      "Sid": "AllowManagedAppsToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": "*",
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        },
        "Bool": {
          "aws:PrincipalIsAWSService": "true"
        }
      }
    }
  ]
}

에서 다음 IAM 정책 설명 템플릿을 사용하여 AWS 관리형 애플리케이션의 관리자가 멤버 계정의 KMS 키를 사용하도록 4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성 허용합니다.

  • 리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 섹션을 참조하세요필요한 식별자 찾기.

  • 일부 AWS 관리형 애플리케이션은 IAM Identity Center 및 Identity Store APIs. IAM Identity Center에서 고객 관리형 키를 구성하기 전에 이러한 권한이 KMS 키 사용도 허용하는지 확인합니다. 특정 KMS 키 권한 요구 사항은 배포한 각 AWS 관리형 애플리케이션에 대한 설명서를 참조하세요.

AWS 관리형 애플리케이션의 관리자에게 필요한 IAM 정책 설명:

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [{
    "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}

사용을 위한 기준 KMS 키 문 AWS Control Tower

에서 다음 KMS 키 문 템플릿을 사용하여 AWS Control Tower 관리자가 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

  • 보안 주체 필드에서 IAM Identity Center의 APIs에 액세스하는 데 사용되는 IAM 보안 주체를 지정합니다. IAM 보안 주체에 대한 자세한 내용은 IAM 사용 설명서의 보안 주체 지정을 참조하세요.

  • 이러한 정책 설명을 통해 AWS Control Tower 관리자는 모든 IAM Identity Center 인스턴스를 통해 KMS 키를 사용할 수 있습니다. 그러나 AWS Control Tower는 동일한 조직에 있는 IAM Identity Center의 AWS 조직 인스턴스에 대한 액세스를 제한합니다. 이러한 제한으로 인해에 설명된 대로 KMS 키를 특정 IAM Identity Center 인스턴스로 추가로 제한하면 실질적인 이점이 없습니다고급 KMS 키 정책 설명.

KMS 키 정책 문:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Sid": "AllowControlTowerAdminRoleToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Control_Tower_Admins}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*",
          "kms:ViaService": "sso.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowControlTowerAdminRoleToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Control_Tower_Admins}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

AWS Control Tower 는 위임된 관리를 지원하지 않으므로 관리자에 대한 IAM 정책을 구성할 필요가 없습니다.

IAM Identity Center를 Amazon Elastic Compute Cloud Windows 인스턴스에 사용하기 위한 기준 KMS 키 및 IAM 정책 설명

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 Amazon EC2 Windows 인스턴스에 대한 Single Sign-On(SSO) 사용자가 계정 간에 KMS 키를 사용할 수 2단계: KMS 키 정책 설명 준비 있도록 허용합니다.

  • 보안 주체 필드에서 IAM Identity Center에 액세스하는 데 사용되는 IAM 보안 주체를 지정합니다. IAM 보안 주체에 대한 자세한 내용은 IAM 사용 설명서의 보안 주체 지정을 참조하세요.

  • 이 정책 문은 모든 IAM Identity Center 인스턴스가 KMS 키를 사용하도록 허용합니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 섹션을 참조하세요 정책 템플릿.

KMS 키 정책 설명

{
  "Version": "2012-10-17",
  "Statement": [{
      "Sid": "AllowIAMIdentityCenterPermisionSetRoleToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Permission_Set_IAM_Role}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*",
          "kms:ViaService": "sso.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowIAMIdentityCenterPermisionSetRoleToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Permission_Set_IAM_Role}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

에서 다음 IAM 정책 설명 템플릿을 사용하여 EC2 Windows 인스턴스에 대한 SSO가 KMS 키를 사용하도록 4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성 허용합니다.

Amazon EC2 Windows 인스턴스에 대한 SSO 액세스를 허용하는 데 사용하는 IAM Identity Center의 기존 권한 세트에 IAM 정책 설명을 연결합니다. IAM 정책 예제는 AWS Systems Manager 사용 설명서의 원격 데스크톱 프로토콜 연결을 참조하세요.

  • 리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 섹션을 참조하세요필요한 식별자 찾기.

권한 세트 IAM 정책:

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [{
    "Sid": "IAMPolicyToAllowKMSKeyUseViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}

IAM Identity Center에서 사용자 지정 워크플로를 사용하기 위한 기준 KMS 키 및 IAM 정책 설명

에서 다음 KMS 키 정책 설명 템플릿을 사용하여 AWS Organizations 관리 계정 또는 위임된 관리 계정의 사용자 지정 워크플로가 KMS 키를 사용하도록 2단계: KMS 키 정책 설명 준비 허용합니다.

  • 보안 주체 요소에서 IAM Identity Center APIs에 액세스하는 데 사용되는 IAM 보안 주체를 지정합니다. IAM 보안 주체에 대한 자세한 내용은 IAM 사용 설명서의 보안 주체 지정을 참조하세요.

  • 이러한 정책 설명을 통해 워크플로는 IAM Identity Center 인스턴스를 통해 KMS 키를 사용할 수 있습니다. 특정 IAM Identity Center 인스턴스에 대한 액세스를 제한하려면 섹션을 참조하세요 정책 템플릿.

KMS 키 정책 문:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Sid": "AllowCustomWorkflowToUseTheKMSKeyViaIdentityCenter",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Workflow_IAM_principal}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:sso:instance-arn": "*",
          "kms:ViaService": "sso.*.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AllowCustomWorkflowToUseTheKMSKeyViaIdentityStore",
      "Effect": "Allow",
      "Principal": {
        "AWS": "${Workflow_IAM_principal}"
      },
      "Action": "kms:Decrypt",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:ViaService": "identitystore.*.amazonaws.com",
          "kms:EncryptionContext:aws:identitystore:identitystore-arn": "*"
        }
      }
    }
  ]
}

에서 다음 IAM 정책 설명 템플릿을 사용하여 사용자 지정 워크플로와 연결된 IAM 보안 주체가 계정 간에 KMS 키를 사용하도록 4단계: KMS 키의 교차 계정 사용을 위한 IAM 정책 구성 허용합니다. IAM 보안 주체에 IAM 정책 설명을 추가합니다.

  • 리소스 요소의 예제 ARN을 실제 KMS 키 ARN으로 바꿉니다. 참조된 식별자의 값을 찾는 데 도움이 필요하면 섹션을 참조하세요필요한 식별자 찾기.

IAM 정책 설명(교차 계정 사용에만 필요):

{
  "Version": "2012-10-17", 		 	 	 
  "Statement": [{
    "Sid": "AllowIAMIdentityCenterAdminToUseTheKMSKeyViaIdentityCenterAndIdentityStore",
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "Condition": {
      "StringLike": {
        "kms:ViaService": [
          "sso.*.amazonaws.com",
          "identitystore.*.amazonaws.com"
        ]
      }
    }
  }]
}